Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Client' = '%WINDIR%\SysWOW64\Client.exe'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\revengerat\client.exe
- <Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
- <Имя диска съемного носителя>:\contoso_1.cer
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\dashborder_144.bmp
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\dashborder_96.bmp
- <Имя диска съемного носителя>:\default.bmp
- <Имя диска съемного носителя>:\toolbar.bmp.exe
- <Имя диска съемного носителя>:\toolbar.bmp
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\dial.bmp
- <Имя диска съемного носителя>:\delete.avi
- <Имя диска съемного носителя>:\join.avi.exe
- <Имя диска съемного носителя>:\join.avi
- <Имя диска съемного носителя>:\split.avi.exe
- <Имя диска съемного носителя>:\split.avi
- <Имя диска съемного носителя>:\000814251_video_01.avi.exe
- <Имя диска съемного носителя>:\000814251_video_01.avi
- <Имя диска съемного носителя>:\correct.avi.exe
- <Имя диска съемного носителя>:\correct.avi
- <Имя диска съемного носителя>:\delete.avi.exe
- <Имя диска съемного носителя>:\ovp25012015.doc
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\tempserver.exe
- %TEMP%\vkpp4ktp.out
- %TEMP%\vbca2a5.tmp
- %TEMP%\resa2a6.tmp
- %ALLUSERSPROFILE%\revengerat\delete.ico
- %TEMP%\aseackab.0.vb
- %TEMP%\aseackab.cmdline
- %TEMP%\9eqp1grn.cmdline
- %TEMP%\aseackab.out
- %TEMP%\resa6f9.tmp
- %WINDIR%\syswow64\client.exe
- %ALLUSERSPROFILE%\revengerat\toolbar.ico
- %TEMP%\setdfo6u.0.vb
- %TEMP%\setdfo6u.cmdline
- %TEMP%\setdfo6u.out
- %TEMP%\vkpp4ktp.0.vb
- %TEMP%\vkpp4ktp.cmdline
- %ALLUSERSPROFILE%\revengerat\join.ico
- %TEMP%\res9eb0.tmp
- %TEMP%\vbc9eaf.tmp
- %TEMP%\vxygkh6q.0.vb
- %TEMP%\vxygkh6q.cmdline
- %TEMP%\vxygkh6q.out
- %TEMP%\vbc95b9.tmp
- %TEMP%\res95ba.tmp
- %ALLUSERSPROFILE%\revengerat\000814251_video_01.ico
- %TEMP%\vbc23e4.tmp
- %TEMP%\vbca6f8.tmp
- %TEMP%\9eqp1grn.0.vb
- %TEMP%\vbc9a5b.tmp
- %TEMP%\res9a5c.tmp
- %ALLUSERSPROFILE%\revengerat\split.ico
- %TEMP%\giuscdh2.0.vb
- %TEMP%\giuscdh2.cmdline
- %TEMP%\giuscdh2.out
- %ALLUSERSPROFILE%\revengerat\correct.ico
- %TEMP%\9eqp1grn.out
- %TEMP%\res23e5.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- <Имя диска съемного носителя>:\revengerat\client.exe
Удаляет следующие файлы
- %TEMP%\res95ba.tmp
- %TEMP%\setdfo6u.cmdline
- %TEMP%\vbc23e4.tmp
- %TEMP%\res23e5.tmp
- %TEMP%\aseackab.out
- %TEMP%\aseackab.cmdline
- %TEMP%\aseackab.0.vb
- %TEMP%\vbca6f8.tmp
- %TEMP%\resa6f9.tmp
- %TEMP%\vkpp4ktp.0.vb
- %TEMP%\vkpp4ktp.cmdline
- %TEMP%\vkpp4ktp.out
- %TEMP%\vbca2a5.tmp
- %TEMP%\resa2a6.tmp
- %TEMP%\giuscdh2.out
- %TEMP%\giuscdh2.cmdline
- %TEMP%\giuscdh2.0.vb
- %TEMP%\vbc9eaf.tmp
- %TEMP%\res9eb0.tmp
- %TEMP%\9eqp1grn.cmdline
- %TEMP%\9eqp1grn.out
- %TEMP%\9eqp1grn.0.vb
- %TEMP%\vbc9a5b.tmp
- %TEMP%\res9a5c.tmp
- %TEMP%\vxygkh6q.cmdline
- %TEMP%\vxygkh6q.out
- %TEMP%\vxygkh6q.0.vb
- %TEMP%\vbc95b9.tmp
- %TEMP%\setdfo6u.0.vb
- %TEMP%\setdfo6u.out
Сетевая активность
Подключается к
- 'ac#####loot.duckdns.org':30865
UDP
- DNS ASK ac#####loot.duckdns.org
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\tempserver.exe'
- '%WINDIR%\syswow64\client.exe'
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\vxygkh6q.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\nvxtbkdq.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA1FA.tmp" "%TEMP%\vbcA1F9.tmp" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\jvcxm3ui.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9E33.tmp" "%TEMP%\vbc9E32.tmp" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\r6frsm8k.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9AF8.tmp" "%TEMP%\vbc9AF7.tmp" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\i7t3ewxd.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9647.tmp" "%TEMP%\vbc9646.tmp" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ahryimia.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES928F.tmp" "%TEMP%\vbc928E.tmp" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\usaw6a8t.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8EA9.tmp" "%TEMP%\vbc8E98.tmp" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA5C1.tmp" "%TEMP%\vbcA5B1.tmp" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\czbmxtfe.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\zqtqx94f.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES23E5.tmp" "%TEMP%\vbc23E4.tmp" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\setdfo6u.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA6F9.tmp" "%TEMP%\vbcA6F8.tmp" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\aseackab.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA2A6.tmp" "%TEMP%\vbcA2A5.tmp" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\vkpp4ktp.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9EB0.tmp" "%TEMP%\vbc9EAF.tmp" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\giuscdh2.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9A5C.tmp" "%TEMP%\vbc9A5B.tmp" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\9eqp1grn.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES95BA.tmp" "%TEMP%\vbc95B9.tmp" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8A55.tmp" "%TEMP%\vbc8A54.tmp" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\c4e73rxo.cmdline" (со скрытым окном)
